'/%3E%3C/svg%3E){kind=small}
Testy penetracyjne aplikacji mobilnych
Testy penetracyjne aplikacji mobilnych iOS i Android według OWASP MASVS i MASTG od 9 999 zł netto: analiza statyczna, dynamiczna i backend API w zakresie. Raport z oceną CVSS, retest do 30 dni i dostęp do platformy vulnerability management w cenie.
- Certyfikowani pentesterzy (OSCP, OSWE, OSEP)
- Retest do 30 dni w cenie
- Wgląd w postęp testów w platformie vulnerability management
- 2platformy
- 9znalezisk
- 32testów MASTG
Testy penetracyjne aplikacji mobilnych na iOS i Androida od 9 999 zł netto sprawdzają, czy aplikację, jej dane na urządzeniu i backend, z którym rozmawia, da się przejąć tak, jak zrobiłby to realny atakujący. Testujemy według OWASP MASVS i MASTG, ręcznie i z użyciem narzędzi do analizy statycznej i dynamicznej, zawsze razem z API backendu. Wynikiem jest raport z dowodami, oceną CVSS i zaleceniami, retest do 30 dni i wgląd w postęp testu w platformie vulnerability management.
Testy bezpieczeństwa aplikacji mobilnych zostaną przeprowadzone z wykorzystaniem podejścia dwutorowego – poprzez analizę statyczną kodu aplikacji oraz analizę dynamiczną działania aplikacji w kontrolowanym środowisku testowym. Weryfikacja aplikacji w zakresie wskazanej funkcjonalności zostanie wykonana zgodnie z wymaganiami standardów oraz wymagań:
- OWASP Mobile Top 10,
- OWASP Mobile Application Security Testing Guide (MASTG, dawniej MSTG),
- OWASP Mobile Application Security Verification Standard (MASVS).
Testy będą obejmować zarówno manualną weryfikację poszczególnych klas podatności, jak i automatyczne skanowanie, przeprowadzane równolegle w celu uzyskania pełnego obrazu poziomu bezpieczeństwa aplikacji. Jeśli Twoja aplikacja mobilna korzysta z tego samego backendu co wersja przeglądarkowa, zobacz też testy penetracyjne aplikacji webowych i API: wspólne API testujemy raz, w jednym projekcie. Przegląd wszystkich usług znajdziesz na stronie wszystkie rodzaje testów penetracyjnych.
Co testujemy w aplikacji mobilnej: przechowywanie danych, komunikacja, backend API
Test według OWASP Mobile Application Security Testing Guide (MASTG) i MASVS, osobno dla iOS i Androida, zawsze razem z backendem, z którym aplikacja rozmawia.
Przechowywanie danych na urządzeniu
Tokeny, hasła, cache, logi, kopie zapasowe. Sprawdzamy, co zostaje na telefonie po wylogowaniu i co da się odczytać z kopii zapasowej lub zrootowanego urządzenia.
Komunikacja
TLS, certificate pinning, podatność na przechwycenie ruchu. Weryfikujemy, czy aplikacja wykrywa podstawiony certyfikat i czy dane nie wyciekają do usług trzecich.
Uwierzytelnianie
Biometria, PIN, odświeżanie sesji, deep linki. Testujemy, czy ochronę biometryczną da się obejść lokalnie i czy sesja wygasa tam, gdzie powinna.
Ochrona kodu
Obfuskacja, wykrywanie roota i jailbreaka, możliwość modyfikacji aplikacji. Sprawdzamy, jak łatwo przerobić aplikację i podpisać ją ponownie.
API backendu
Autoryzacja między użytkownikami, limity, logika biznesowa. Większość podatności krytycznych w aplikacjach mobilnych leży po stronie API, dlatego backend jest w zakresie w każdym wariancie.
Integracje
SDK analityczne i reklamowe, uprawnienia systemowe. Weryfikujemy, jakie dane opuszczają aplikację przez biblioteki zewnętrzne i czy uprawnienia są adekwatne do funkcji.
Analizowane obszary bezpieczeństwa aplikacji mobilnych
W trakcie testów zostaną przeanalizowane następujące obszary bezpieczeństwa aplikacji mobilnych:
- Architektura aplikacji – ocena struktury, komponentów i ich interakcji,
- Przechowywanie danych – identyfikacja wrażliwych danych zapisywanych lokalnie, ich ochrona i ewentualne narażenie,
- Zastosowanie kryptografii – weryfikacja poprawności implementacji algorytmów szyfrowania, przechowywania kluczy i mechanizmów ochrony danych,
- Mechanizmy uwierzytelniania i zarządzania sesją – ocena bezpieczeństwa procesu logowania, utrzymania sesji oraz odporności na ataki,
- Komunikacja sieciowa aplikacji – analiza zabezpieczeń transmisji danych, takich jak TLS, weryfikacja certyfikatów, ochrona przed MITM,
- Interakcja aplikacji ze środowiskiem mobilnym – badanie komunikacji z innymi aplikacjami, komponentami systemowymi i usługami urządzenia,
- Konfiguracja aplikacji – analiza uprawnień, manifestów, ustawień builda oraz opcji debugowania,
- Zabezpieczenia przed inżynierią wsteczną – weryfikacja odporności aplikacji na dekompilację, debugowanie oraz manipulacje w czasie rzeczywistym.
iOS i Android: dwie platformy, dwa zestawy testów
Każdą platformę testujemy osobno, bo inne są mechanizmy systemowe: Keychain i Data Protection na iOS, Keystore i uprawnienia runtime na Androidzie, inne sposoby dystrybucji i inne techniki obejścia zabezpieczeń. Testy realizujemy dla aplikacji Android (Java, Kotlin, Flutter, React Native), iOS (Swift, Objective-C), cross-platform (Ionic, Xamarin, Cordova), hybrydowych i PWA, oraz ich backendów i API.
Do testu wystarczą gotowe pliki APK i IPA. Najlepiej, gdy dostaniemy dwie wersje: unprotected binary (bez obfuskacji, anti-debug, SSL pinningu) do pełnej analizy statycznej i dynamicznej oraz protected binary (produkcyjną) do sprawdzenia, czy zabezpieczenia da się obejść narzędziami takimi jak Frida, Objection, Magisk czy Xposed.
Metodyka: OWASP MASVS i MASTG
MASVS mówi, co aplikacja mobilna powinna spełniać. MASTG mówi, jak to sprawdzić. Łączymy oba dokumenty z PTES, żeby zakres testu był powtarzalny i możliwy do audytu.
Standardy testów mobilnych
OWASP MASVS (Mobile Application Security Verification Standard) definiuje wymagania w obszarach: przechowywanie danych, kryptografia, uwierzytelnianie, sieć, platforma, jakość kodu, odporność na inżynierię wsteczną i prywatność. OWASP MASTG zawiera przypadki testowe dla każdego wymagania, osobno dla iOS i Androida.
VIPentest opiera swoje testy na OWASP MASTG, OWASP Mobile Top 10, NIST SP 800-163, PTES i MITRE ATT&CK Mobile.
Poziomy weryfikacji MASVS
- L1 – standardowy poziom bezpieczeństwa dla każdej aplikacji mobilnej,
- L2 – obrona w głąb dla aplikacji z danymi wrażliwymi: bankowość, płatności, zdrowie,
- R – odporność na inżynierię wsteczną i manipulację (ochrona kodu, wykrywanie roota i jailbreaka).
Domyślnie testujemy w zakresie L1 z elementami R. Poziom L2 i pełny R rekomendujemy aplikacjom z płatnościami, danymi medycznymi i tym, które podlegają wymaganiom KNF lub PSD2.
Narzędzia wykorzystywane podczas testów
W trakcie testów zostaną wykorzystane specjalistyczne narzędzia, w tym:
- Burp Suite Professional – do przechwytywania, analizy i modyfikacji ruchu sieciowego,
- Frida – do dynamicznej instrumentacji i analizowania działania aplikacji,
- Objection – do testów na zrootowanych/jailbreakowanych urządzeniach,
- MobSF – Mobile Security Framework – do automatycznej analizy statycznej i dynamicznej,
- Android Studio – jako środowisko do testów aplikacji Android,
- Xcode – do analizy aplikacji iOS,
- dodatkowe narzędzia i skrypty dostępne w systemie Kali Linux, wykorzystywane w testach komunikacji, analizie API, debugowaniu i eksploracji kodu aplikacji.
Jak przebiega test aplikacji mobilnej krok po kroku
Od rozmowy o zakresie do raportu końcowego mija zwykle dwa do czterech tygodni. Zespół mobilny może poprawiać podatności równolegle z testem, bo widzi je w platformie w dniu wykrycia.
- 01
Rozmowa o zakresie
Model testu, platformy (iOS, Android lub obie), środowisko, termin, wycena z konkretną liczbą dni.
- 02
Formalności
Umowa i NDA elektronicznie, okno czasowe, osoba kontaktowa, ścieżka eskalacji. Przekazanie plików APK/IPA i kont testowych.
- 03
Rekonesans i modelowanie zagrożeń
Technologie, role, punkty wejścia, najgorszy scenariusz dla biznesu. Analiza statyczna binarki i mapowanie API backendu.
- 04
Testy manualne
Pentester OSCP/OSWE weryfikuje ręcznie każdą klasę podatności: analiza dynamiczna na urządzeniach z rootem i jailbreakiem, test backendu, obejście zabezpieczeń. Podatności widzisz w platformie w dniu wykrycia.
- 05
Raport
Część zarządcza i techniczna, spotkanie omawiające wyniki z zespołem mobilnym i backendowym.
- 06
Retest
Weryfikacja poprawek w nowym buildzie, raport końcowy i certyfikat.
Pełny opis procesu, cennik wszystkich usług i lista rzeczy do przygotowania przed testem: testy penetracyjne. Uwagi końcowe: VIPentest Sp. z o.o. zastrzega sobie prawo do modyfikacji planu testów w zależności od bieżących potrzeb i ustaleń z klientem.
Cennik testów aplikacji mobilnych
Cena zależy od liczby platform, ról użytkownika i wielkości backendu. Backend i API są w zakresie w każdym wariancie.
| Wariant | Czas | Cena netto |
|---|---|---|
| Jedna platforma (iOS lub Android), 1 rola, backend w zakresie | 5–7 dni | 9 999–14 000 zł |
| Obie platformy, 1 rola, wspólny backend | 7–10 dni | 14 000–20 000 zł |
| Obie platformy, wiele ról, płatności lub dane medyczne | od 10 dni | od 18 000 zł |
Widełki dotyczą typowych zakresów. Cena rośnie z wielkością aplikacji i backendu. W cenie: raport zarządczy i techniczny, spotkanie omawiające, retest do 30 dni, certyfikat, dostęp do platformy vulnerability management.
Jedna wycena może objąć obie platformy: wspólny backend testujemy raz, a różnicę w cenie robi tylko część natywna. Dokładną wycenę podajemy po bezpłatnej rozmowie o zakresie, zwykle tego samego dnia.
Co dostajesz w raporcie
Po zakończeniu testów dostarczony zostanie szczegółowy raport zawierający część zarządczą dla decydentów i część techniczną dla zespołu mobilnego i backendowego.
Raportowanie podatności według istotności
Zidentyfikowane podatności, sklasyfikowane według poziomu istotności (Krytyczne, Wysokie, Średnie, Niskie oraz Informacyjne), co umożliwia szybkie zrozumienie priorytetów oraz zakresu ryzyk dla organizacji.
Szczegóły każdej podatności
- techniczny i biznesowy opis problemu,
- przypisany poziom ryzyka zgodny z uznanymi standardami (np. CVSS),
- możliwe skutki wykorzystania podatności przez osoby niepowołane,
- kroki umożliwiające odtworzenie podatności – zrzuty ekranu, komendy, payloady, logi itp.,
- przypisany identyfikator CWE, ułatwiający klasyfikację problemu w międzynarodowych rejestrach,
- odnośniki do źródeł zewnętrznych (np. OWASP, MITRE, CVE), które pozwalają na dalsze zgłębianie tematu lub weryfikację podatności.
Zalecenia i potwierdzenie dla audytora
Zalecenia dotyczące skutecznej mitygacji ryzyk, dopasowane do kontekstu organizacji i środowiska testowego – w tym wskazówki dotyczące konfiguracji, aktualizacji komponentów, zmian w logice aplikacji, ograniczeń dostępu czy wdrożenia mechanizmów detekcji i monitorowania.
Po reteście wystawiamy raport końcowy i certyfikat przeprowadzenia testu, który możesz przekazać partnerowi bankowemu, audytorowi lub sklepowi z aplikacjami, jeśli wymaga potwierdzenia niezależnej weryfikacji bezpieczeństwa.
Wgląd w test w platformie vulnerability management
Każdy klient dostaje dostęp do platformy vulnerability management VIPentest na czas testu i po nim: widzisz postęp testu, każda podatność pojawia się w dniu wykrycia z oceną CVSS, dowodem i rekomendacją, a po wdrożeniu poprawki zgłaszasz ją do retestu jednym kliknięciem. Raport i certyfikat pobierasz z tej samej platformy.
Dla zespołów mobilnych to ważne z jednego powodu: poprawka w aplikacji musi przejść przez build, review sklepu i aktualizację u użytkowników. Im wcześniej wiesz o podatności, tym szybciej trafia do kolejnego wydania.
Co widzisz w platformie
- etap testu i postęp prac w czasie rzeczywistym,
- każdą podatność w dniu wykrycia: CVSS, dowód, rekomendacja,
- status napraw i zgłaszanie do retestu jednym kliknięciem,
- raport zarządczy, techniczny i certyfikat do pobrania,
- dostęp przed startem testu, bez dodatkowych opłat.
Dla kogo: bankowość, fintech, e-commerce, aplikacje medyczne
Test aplikacji mobilnej zamawia każdy, kto wydaje aplikację do sklepu i odpowiada za dane jej użytkowników. Zakres i poziom MASVS dobieramy do branży.
Bankowość i fintech
Aplikacje z logowaniem biometrycznym, autoryzacją transakcji i tokenami. Test w zakresie MASVS L2 + R, z raportem gotowym dla audytora i partnera bankowego. Zobacz testy penetracyjne dla bankowości i fintech.
E-commerce i płatności
Koszyk, zapisane karty, kupony, programy lojalnościowe. Sprawdzamy logikę biznesową w API i to, czy dane płatnicze nie zostają na urządzeniu ani w logach.
Aplikacje medyczne
Dane o zdrowiu, wyniki badań, telemedycyna. Testujemy przechowywanie i transmisję danych wrażliwych oraz izolację między kontami pacjentów i lekarzy.
Aplikacje z dużą bazą użytkowników
Media, edukacja, usługi publiczne. Skala zwiększa wagę każdej podatności; o tym, jak kończy się ujawnienie kodu, piszemy w analizie ujawnienie kodu mObywatel – wnioski dla aplikacji mobilnych.
Jak przygotować aplikację mobilną do testu
Nie potrzebujemy kodu źródłowego. Testujemy gotowe pliki IPA i APK jak atakujący; dostęp do kodu (white box) skraca test i pozwala znaleźć więcej, ale nie jest wymagany.
Co przekazać przed startem
- pliki aplikacji: APK (Android) i/lub IPA (iOS), najlepiej w dwóch wersjach – unprotected binary (bez obfuskacji, anti-debug, SSL pinningu, podpisany certyfikatem testowym) i protected binary (produkcyjna),
- konta testowe: zwykły użytkownik, konto o wyższych uprawnieniach, konto super-administratora lub techniczne,
- adres backendu i środowiska (staging lub produkcja) oraz dokumentację API, jeśli istnieje,
- informację o wymaganiach regulacyjnych (KNF, PSD2, dane medyczne), które ma potwierdzić raport,
- osobę kontaktową po stronie zespołu mobilnego i backendowego.
Dlaczego dwie wersje binarki i konta dla każdej roli
Unprotected binary umożliwia pełną analizę statyczną (SAST) i dynamiczną (DAST), reverse engineering oraz identyfikację luk w logice, autoryzacji i przetwarzaniu danych. Protected binary pozwala sprawdzić skuteczność zastosowanych zabezpieczeń (obfuskacja, detekcja root/jailbreak, anti-tampering, SSL pinning, RASP) i wykryć, które z nich można obejść.
Konta użytkowników testowych pozwalają pentesterowi sprawdzić wszystkie poziomy uprawnień i logikę autoryzacji, w tym dostęp do funkcji, które mogą być narażone na eskalację uprawnień lub nieautoryzowany dostęp. Dzięki temu audyt bezpieczeństwa będzie pełny, a raport dokładny. O tym, co zmieniło się w atakach na aplikacje mobilne, piszemy w artykule testy penetracyjne aplikacji mobilnych w 2026 roku.
Najczęściej zadawane pytania
Czym są testy penetracyjne aplikacji mobilnych?
Testy penetracyjne aplikacji mobilnych (Mobile App Pentest) to symulowane ataki hakerskie na aplikację mobilną w celu wykrycia luk bezpieczeństwa w kodzie, komunikacji sieciowej, autoryzacji użytkowników i mechanizmach ochrony danych. Celem testu jest sprawdzenie, czy aplikacja odporna jest na realne scenariusze ataków, takie jak kradzież tokenów, modyfikacja ruchu HTTP(S), reverse engineering czy nadużycie uprawnień systemowych.
Jakie technologie obejmuje test penetracyjny aplikacji mobilnej?
Testy realizujemy dla aplikacji: Android (Java, Kotlin, Flutter, React Native), iOS (Swift, Objective-C), cross-platform (Ionic, Xamarin, Cordova), hybrydowych i PWA, oraz ich backendów i API powiązanych z aplikacją.
Ile trwa test penetracyjny aplikacji mobilnej?
Zazwyczaj: prosta aplikacja MVP – 7 dni roboczych, aplikacja komercyjna z backendem i autoryzacją – 7–12 dni, złożone systemy (np. bankowość, e-commerce, fintech) – 12–20 dni. Czas zależy od liczby modułów, wersji (Android/iOS) i integracji z zewnętrznymi API.
Ile kosztuje audyt bezpieczeństwa aplikacji mobilnej?
Od 9 999 zł netto za jedną platformę z jedną rolą użytkownika i backendem w zakresie. Obie platformy ze wspólnym backendem 14 000–20 000 zł, aplikacje z wieloma rolami, płatnościami lub danymi medycznymi od 18 000 zł, zależnie od wielkości aplikacji i backendu.
Jakie standardy stosowane są podczas testów mobilnych?
VIPentest opiera swoje testy na: OWASP Mobile Application Security Testing Guide (MASTG, dawniej MSTG), OWASP MASVS, OWASP Mobile Top 10, NIST SP 800-163, PTES i MITRE ATT&CK Mobile, co zapewnia pełną zgodność z międzynarodowymi wymaganiami bezpieczeństwa aplikacji mobilnych.
Jak przygotować aplikację mobilną do testu penetracyjnego?
Przed rozpoczęciem testów penetracyjnych aplikacji mobilnej warto przekazać dwie wersje aplikacji – unprotected binary i protected binary – oraz zestaw kont użytkowników testowych. Dzięki temu audyt bezpieczeństwa będzie pełny, a raport dokładny.
Co oznacza „unprotected binary” w kontekście testu bezpieczeństwa aplikacji?
„Unprotected binary” to wersja aplikacji bez aktywnych zabezpieczeń, takich jak obfuskacja kodu, anti-debug, szyfrowanie zasobów czy SSL pinning. Ta wersja jest niezbędna do pełnej analizy statycznej (SAST) i dynamicznej (DAST), umożliwia reverse engineering oraz identyfikację luk w logice, autoryzacji i przetwarzaniu danych. Zazwyczaj przekazuje się plik .apk (Android) lub .ipa (iOS) w wersji developerskiej lub stagingowej, podpisany testowym certyfikatem.
Co oznacza „protected binary” w testach penetracyjnych aplikacji mobilnej?
„Protected binary” to wersja produkcyjna aplikacji z aktywnymi zabezpieczeniami, takimi jak obfuskacja kodu, detekcja root/jailbreak, anti-tampering, SSL pinning czy RASP. Test tej wersji pozwala sprawdzić skuteczność zastosowanych zabezpieczeń i wykryć, które z nich można obejść przy użyciu narzędzi takich jak Frida, Objection, Magisk czy Xposed. Celem jest potwierdzenie, że aplikacja jest odporna na manipulacje i inżynierię wsteczną.
Dlaczego ważne są konta użytkowników testowych podczas audytu aplikacji mobilnej?
Konta użytkowników testowych pozwalają pentesterowi sprawdzić wszystkie poziomy uprawnień i logikę autoryzacji. Warto przekazać konta dla: zwykłego użytkownika, konta o wyższych uprawnieniach, konta super-administratora lub technicznego. Dzięki temu test obejmie pełne scenariusze działania aplikacji, w tym dostęp do funkcji, które mogą być narażone na eskalację uprawnień lub nieautoryzowany dostęp.
Czy potrzebujecie kodu źródłowego aplikacji?
Nie. Testujemy gotowe pliki IPA i APK jak atakujący. Dostęp do kodu (white box) skraca test i pozwala znaleźć więcej, ale nie jest wymagany.
Czy testujecie też backend?
Zawsze. Aplikacja mobilna bez backendu to rzadkość, a większość podatności krytycznych leży po stronie API. Backend jest w zakresie w każdym wariancie.
Czy widzę wyniki w trakcie testu?
Tak, w platformie vulnerability management VIPentest. Każda podatność pojawia się tam w dniu wykrycia, więc zespół mobilny może poprawiać równolegle z testem.
Co mówią klienci
KrzysztofKlient VIPentest★★★★★Po otrzymaniu bardzo konkurencyjnej oferty postanowiliśmy po raz pierwszy skorzystać z usług Vipentest przy testach bezpieczeństwa naszej aplikacji mobilnej (zarówno na iOS, jak i Androida). Mimo że początkowo podchodziliśmy do tego z pewną ostrożnością, efekt końcowy zdecydowanie nas pozytywnie zaskoczył.
Zespół znalazł realne, istotne podatności, a cały proces przebiegł sprawnie – bez zbędnych formalności i z bardzo dobrą komunikacją. Raporty były konkretne, dobrze opisane i zawierały jasne instrukcje, co i jak należy poprawić. Widać, że wiedzą, co robią.
Na pewno wrócimy z kolejnymi projektami - skuteczność, przejrzystość i profesjonalne podejście to coś, co zdecydowanie wyróżnia Vipentest na tle innych firm, z którymi mieliśmy wcześniej do czynienia.
Sprawdź, ile kosztuje test w Twoim zakresie
Opisz aplikację, system lub organizację w krótkim formularzu. Oddzwonimy tego samego dnia z wyceną i planem testów. Bez zobowiązań, z NDA przed rozmową.
- Potwierdzenie zgłoszeniaOdpisujemy w ciągu 24 h w dni robocze i dopytujemy o zakres.
- Rozmowa o zakresie pod NDAUstalamy cele, środowisko, terminy i sposób dostępu.
- Wycena i plan testówZwykle tego samego dnia po rozmowie. Bez zobowiązań.
- Retest do 30 dni w cenie
- Raport gotowy dla audytora
- Platforma vulnerability management
Napisz do nas: bezpłatna wycena i konsultacja zakresu
Opisz krótko, co chcesz przetestować (aplikację, system, organizację). Odpowiadamy w ciągu jednego dnia roboczego.
